Peut-on tromper les détecteurs d'IA ? SICO et l'évasion par prompt

Peut-on tromper les détecteurs d'IA avec un simple prompt, sans aucun modèle de paraphrase supplémentaire ? Un article de 2024 publié dans Transactions on Machine Learning Research répond par l'affirmative. Sa méthode, SICO, construit un prompt à partir de quelques dizaines d'exemples humains, et dans les tests des auteurs, elle a ramené six détecteurs à des performances proches du pile ou face.

Un article présenté à NeurIPS 2025 est allé plus loin, en guidant un paraphraseur token par token grâce aux scores mêmes d'un détecteur. Lus ensemble, ces deux articles en disent moins sur des astuces ingénieuses que sur une faiblesse structurelle dans la conception des détecteurs. Cet article explique les deux et ce qu'ils impliquent.

Ce que fait SICO, en termes simples

SICO signifie Substitution-based In-Context example Optimization. Les travaux antérieurs sur le contournement, comme le paraphraseur DIPPER, entraînaient un modèle distinct pour réécrire le texte IA. SICO pose une autre question : si les grands modèles savent bien suivre des exemples, les bons exemples placés dans un prompt peuvent-ils faire le même travail ?

Dans les grandes lignes, la méthode comporte trois parties :

• Décrire la différence. On montre au modèle des paires de réponses, l'une écrite par IA, l'autre par un humain, aux mêmes tâches, et on lui demande de décrire ce qui distingue l'écriture humaine.
• Affiner les exemples. Les exemples en contexte sont améliorés sur plusieurs tours par des remplacements de mots par des synonymes et des reformulations au niveau de la phrase. Un détecteur intermédiaire note chaque candidat, et les modifications qui rendent les exemples moins mécaniques sont conservées, sous la contrainte que le sens reste proche.
• Réutiliser le prompt. Le prompt final (la description des caractéristiques, la consigne de la tâche et les exemples affinés) peut ensuite servir pour de nouvelles entrées de la même tâche.

La mise en place est peu coûteuse. Les auteurs indiquent n'avoir besoin que de 40 exemples écrits par des humains et d'un nombre limité d'appels au modèle, soit environ 1 USD d'utilisation de l'API GPT-3.5 selon leur estimation. SICO existe sous deux formes : SICO-Gen rédige directement le résultat de la tâche, et SICO-Para réécrit un texte IA existant. Les simples consignes comme « write like a human » (écris comme un humain) sont une autre affaire ; voir pourquoi les prompts simples échouent en général.

Comment la méthode a été testée

Les expériences ont utilisé GPT-3.5 sur trois tâches : la rédaction académique (compléter des paragraphes Wikipédia issus du jeu de données SQuAD), les réponses à des questions ouvertes (questions ELI5) et de faux avis Yelp. Chaque tâche comptait 200 textes générés par IA et 200 textes écrits par des humains.

Six détecteurs ont été testés : un modèle RoBERTa affiné sur du texte GPT-3.5 (également utilisé comme détecteur intermédiaire pendant l'optimisation), le détecteur de sorties GPT-2 d'OpenAI, GPTZero, le classifieur de texte IA d'OpenAI, DetectGPT et une méthode log-rank. SICO a été comparé à quatre méthodes de paraphrase de référence, dont DIPPER et un prompt rédigé à la main du type « fais en sorte que ça sonne humain ».

La qualité des détecteurs a été mesurée par l'AUC : 1,0 signifie une séparation parfaite entre texte IA et texte humain, et 0,5 ne fait pas mieux que le hasard.

Ce que montrent les résultats

SICO a battu toutes les méthodes de référence dans toutes les configurations, et dans la plupart des cas a fait passer l'AUC des détecteurs sous 0,5. Sur la tâche de rédaction académique, les baisses ont été importantes :

• DetectGPT, original0,834
• DetectGPT, SICO-Para0,149
• GPTZero, original0,779
• GPTZero, SICO-Para0,290
• Détecteur GPT-3.5, original0,908
• Détecteur GPT-3.5, SICO-Para0,239

Source : Lu et al. 2024, tableau 1 (tâche de rédaction). Une AUC de 0,5 équivaut à un choix au hasard.

Une AUC nettement inférieure à 0,5 signifie que le détecteur jugeait le texte SICO plus humain que les vrais textes humains. À titre de comparaison, DIPPER n'a fait descendre GPTZero qu'à 0,689 sur la même tâche.

La qualité a elle aussi tenu. Lors de l'évaluation humaine sur la tâche de rédaction, le texte SICO-Gen a obtenu 3,84 en lisibilité contre 3,92 pour le texte humain, et a accompli la tâche dans 93,6 % des cas contre 98,2 % pour les auteurs humains. DIPPER n'a atteint que 70,6 % d'accomplissement de la tâche.

Les auteurs ont aussi testé une défense. Associer le détecteur d'origine à un second détecteur entraîné sur du texte SICO, en retenant le score le plus élevé, a fait remonter l'AUC sur la rédaction SICO-Para de 0,332 à 0,762 pour le détecteur GPT-2, sans quasiment aucune perte sur le texte IA ordinaire.

Adversarial Paraphrasing : se guider avec le détecteur lui-même

L'équipe de l'université du Maryland à l'origine de cet article est partie d'un constat juste : les détecteurs plus récents, en particulier ceux entraînés sur du texte paraphrasé, étaient devenus plus difficiles à tromper par une simple paraphrase. Dans leurs tests, une paraphrase simple faisait même augmenter le taux de vrais positifs à 1 % de faux positifs, de 8,57 % sur RADAR et de 15,03 % sur Fast-DetectGPT.

Leur méthode ne nécessite aucun entraînement. Un modèle d'instructions prêt à l'emploi (LLaMA-3-8B dans leur configuration) paraphrase le texte, et à chaque étape un détecteur note les tokens candidats ; celui qui semble le moins produit par une IA est retenu. Les auteurs la décrivent comme une recherche guidée par le détecteur, d'une profondeur d'un token.

Guidée par un détecteur OpenAI RoBERTa-Large, l'attaque a réduit le taux de vrais positifs à 1 % de faux positifs de 64,49 % sur RADAR et de 98,96 % sur Fast-DetectGPT, avec une réduction moyenne de 87,88 % sur huit détecteurs couvrant classifieurs neuronaux, filigranes et méthodes zero-shot. Le mot clé est transfert : optimiser contre un détecteur affaiblissait des détecteurs de types totalement différents. Les auteurs font état de baisses de qualité du texte le plus souvent légères, et analysent explicitement ce compromis.

Ce que ces travaux disent de la robustesse des détecteurs

Au-delà des noms de méthodes, les deux articles font le même constat. Un détecteur est un classifieur qui a appris une frontière entre deux distributions de textes. Tout ce qui peut interroger un détecteur, ou un substitut raisonnable, peut apprendre où se situe cette frontière. SICO y parvient avec une poignée d'exemples dans un prompt, Adversarial Paraphrasing par des choix token par token. Aucun des deux n'a eu besoin du fonctionnement interne du détecteur.

Trois conséquences pratiques en découlent :

• La détection devient une course aux armements. Des défenses comme l'ensemble de SICO ou l'entraînement adverse aident contre les attaques connues, et chaque nouvelle attaque déplace de nouveau la frontière.
• Avec le transfert, aucun détecteur n'est protégé par sa différence. Optimiser contre un modèle en affaiblissait d'autres, ce qui rejoint le tableau d'ensemble du benchmark RAID.
• La forme de surface n'est pas la paternité. Si de petites modifications qui préservent le sens font basculer un verdict, c'est que le verdict suivait des statistiques de style, et non l'identité de celui qui a réfléchi. C'est pour la même raison que des auteurs humains soigneux, en particulier les auteurs non natifs de l'anglais, sont signalés.

Rien de tout cela ne rend acceptable le contournement des règles d'un cours. Les deux articles présentent leurs travaux comme des tests de résistance qui révèlent des faiblesses pour améliorer la détection. Si vous utilisez des outils d'IA dans un travail académique, la voie honnête consiste à suivre la politique de votre établissement ou de votre revue, à déclarer cet usage lorsque c'est exigé et à conserver vos brouillons pour que votre démarche soit visible.

La place d'Academic Humanizer

Pour les chercheurs, la leçon utile de cette littérature est que le sens et le verdict des détecteurs peuvent diverger. Academic Humanizer est conçu pour garder le sens fixe : le Humanizer ne réécrit que les phrases signalées par les détecteurs, préserve vos affirmations, vos chiffres, votre terminologie et vos citations, et laisse intactes les phrases qui se lisent comme humaines. Il est validé avec Turnitin, GPTZero, ZeroGPT, Copyleaks, Sapling et Originality.ai, et le rapport de détection IA présente chaque réécriture à côté de l'original pour que vous approuviez vous-même chaque modification.